随笔分类 -  安全

上一页 1 2 3 4 5 6 7 下一页

dremio 权限体系
摘要：尽管dremio 的社区版没有提供rbac 以及权限管理的模块能力，但是我们通过官方文档还是可以学到不少东西的，同时也有助于我们可以自己的认证授权模块 对象层级 dremio 是基于了继承模型进行权限的处理，比如我们授权的对象，包含了子对象，那个用户也是可以操作子对象的（dremio 称之为scop 阅读全文

posted @ 2022-07-16 23:04 荣锋亮 阅读(122) 评论(0) 推荐(0) 编辑

dremio 22 udf 功能
摘要：dremio 22 开始支持了直接基于sql 的udf，很方便，强大，但是目前对于社区版来说智能创建，暂时还不能直接使用 目前udf 面向的创建是基于行以及列级别的访问控制 创建udf函数 CREATE FUNCTION multiply (x INT, y INT) RETURNS INT RET 阅读全文

posted @ 2022-07-16 12:18 荣锋亮 阅读(69) 评论(0) 推荐(0) 编辑

cossacklabs acra 开源数据库安全套件
摘要：acra是cossacklabs 开源的数据库安全工具，支持数据库的proxy，同时提供了安全处理能力（加密） 参考使用模式 说明 目前cossacklabs acra 支持mysql 以及pg，其他的暂时不支持（理论上可以自己扩展），cossacklabs acra 的源码也是值得学习参考的，尤其 阅读全文

posted @ 2022-07-03 20:38 荣锋亮 阅读(244) 评论(0) 推荐(0) 编辑

docker sbom方便的软件物料清单扩展
摘要：日益严重的软件安全问题，docker 和anchore 联合开发了一个docker 扩展 sbom （软件物料清单） 内部是基于了开源项目syft，使用简单 参考安装 curl -sSfL https://raw.githubusercontent.com/docker/sbom-cli-plugi 阅读全文

posted @ 2022-04-09 14:31 荣锋亮 阅读(291) 评论(0) 推荐(0) 编辑

jcasbin RoleManager问题
摘要：jcasbin的好多设计与golang的还是有些差异的，造成的问题就很明显了与golang 使用方法有差异 部分golang 的业务处理模式不能无缝的移植到java版本，RoleManager 就存在类似的问题 golang 实现 官方golang 的实现提供了一个默认RoleManager，类似其 阅读全文

posted @ 2021-06-17 12:40 荣锋亮 阅读(281) 评论(0) 推荐(0) 编辑

jcasbin 自定义函数
摘要：以下主要说明自定义函数的使用 参考代码 自定义函数 MyDemoFunc public class MyDemoFunc extends CustomFunction { @Override public AviatorObject call(Map<String, Object> env, Avi 阅读全文

posted @ 2021-06-15 21:53 荣锋亮 阅读(516) 评论(2) 推荐(1) 编辑

gotrue netlify 开源的通用用户管理&&jwt token 工具
摘要：gotrue 是基于golang 开发的，通用用户管理工具，使用简单，包含的功能比较完善，同时也包含了多语言的sdksupabase就集成了此进行用户以及token 管理（但是是fork了一个分支自己维护了），具体使用后边会介绍 参考资料 https://github.com/supabase/go 阅读全文

posted @ 2021-06-14 11:26 荣锋亮 阅读(500) 评论(0) 推荐(0) 编辑

centraldogma 安全配置
摘要：centraldogma 支持多种安全配置，而且安全在实际业务使用中是比较重要的，以下是集成shiro 的一个简单配置 环境准备 docker-compose 文件 version: "3" services: app: image: line/centraldogma volumes: - "./ 阅读全文

posted @ 2021-06-14 09:51 荣锋亮 阅读(98) 评论(0) 推荐(0) 编辑

paseto token 访问模式
摘要：paseto 是类似jwt 的 token机制，但是相对jwt来说进行了一些扩展 格式 协议版本.目标用途.有效负载.页脚（可选） 参考格式 v2.local.QAxIpVe-ECVNI1z4xQbm_qQYomyT3h8FtV8bxkz8pBJWkT8f7HtlOpbroPDEZUKop_vagl 阅读全文

posted @ 2021-06-13 18:13 荣锋亮 阅读(622) 评论(0) 推荐(0) 编辑

大规模扩展casbin的一种方案
摘要：参考图 说明 机制上使用了官方的casbin-server，同时结合了grpc 协议，添加了注册中心模式，认证处理按照不同的数据进行了shared，同时为了提升节点的负载可以基于注册中心能力以及watcher 机制保证数据的一致性，对于统一的处理基于注册中心以及auth-proxy 模式简化客户端的 阅读全文

posted @ 2021-06-13 12:04 荣锋亮 阅读(535) 评论(0) 推荐(0) 编辑

casbin 性能优化的几点建议
摘要：内容主要来自官方文档 高速访问场景 casbin 单实例可以支持10000 r/s 的处理 ，对于请求比较频繁的可以参考如下处理 多线程 多实例 policy rule 过多的场景 可能是模型设计问题，需要重新调整下 基于分片机制解决，不同租户使用不同的casbin 实例，同时基于filter处理（ 阅读全文

posted @ 2021-06-13 11:58 荣锋亮 阅读(1659) 评论(0) 推荐(0) 编辑

使用casbin进行应用访问控制
摘要：casbin 支持比较完备的访问控制模型（acl,rbac,abac...）同时casbin也提供了一个acaas 的服务模型（casbin server） 特性 支持比较完备的访问控制模式 支持不同数据库的adapter 多语言支持（包含了基本上大家常用的开发语言，而且使用上是一致的） 支持大规模 阅读全文

posted @ 2021-06-13 11:11 荣锋亮 阅读(767) 评论(0) 推荐(0) 编辑

jcsabin FilteredAdapter 逻辑处理问题
摘要：jcasbin 默认的Enforcer 构造函数在处理FilteredAdapter的时候有些问题（造成的问题是运行正常，但是过程有问题） 原有参考代码 public Enforcer(Model m, Adapter adapter) { this.adapter = adapter; this. 阅读全文

posted @ 2021-06-13 09:26 荣锋亮 阅读(193) 评论(0) 推荐(0) 编辑

jcasbin redis watcher 一些修改
摘要：具体变动可以参考源码，也是基于官方的redis watcher 进行的修改 具体变动 支持redis 包含密码的链接（很简单暴露jedispool就可以了） 支持redis channel 回调channel 名称暴露（方便控制不同租户以及多实例的处理，但是还是有写缺陷的，应该提供一个独立通知暴露点 阅读全文

posted @ 2021-06-11 22:54 荣锋亮 阅读(311) 评论(0) 推荐(0) 编辑

pmd 开源静态代码分析工具
摘要：pmd 是一个开源的静态代码分析工具，目前主要支持的语言包括 javacript java jsp maven pom plsql xml 说明 同时也提供了多种语言的插件（maven，ant，gradle），当然我们基于CPD，也可以支持其他语言（golang，ruby。。。。） 参考资料 htt 阅读全文

posted @ 2021-01-04 11:46 荣锋亮 阅读(365) 评论(0) 推荐(0) 编辑

securecodebox开箱即用的持续安全工具
摘要：securecodebox 是基于k8s的模块化的工具集，可以用来进行软件的安全扫描 参考架构 https://docs.securecodebox.io/ https://github.com/secureCodeBox/secureCodeBox 阅读全文

posted @ 2020-12-08 10:33 荣锋亮 阅读(352) 评论(0) 推荐(0) 编辑

nikto web server 扫描工具
摘要：nikto 是一个开源的web server 扫描工具,为了方便学习我使用wget 镜像了参考文档，同时制作了一个docker 镜像方便使用dalongrong/nikto2-docs 直接运行docker run -d -p 80:80 dalongrong/nikto2-docs 就可以查看 镜 阅读全文

posted @ 2020-12-08 10:08 荣锋亮 阅读(207) 评论(0) 推荐(0) 编辑

crowdsec开源安全引擎
摘要：crowdsec 是基于golang 编写的开源的，轻量代理，可以用来捕获异常行为，主要利用了本地ip 行为以及在线社区驱动的ip 系统进行行为捕捉，官方的说明是下一代的fail2ban 参考资料 https://crowdsec.net/ https://github.com/fail2ban/f 阅读全文

posted @ 2020-12-08 09:18 荣锋亮 阅读(816) 评论(2) 推荐(0) 编辑

windows strace 类似的工具
摘要：以下是一篇搜到的关于windows 系统trace的工具链接，算是一个整理记录 说明 Sysinternals 工具集，drmemory，stracent，crashdoctor 都是不错的工具，可以方便windows 程序的分析 参考资料 https://stackoverflow.com/que 阅读全文

posted @ 2020-12-07 19:03 荣锋亮 阅读(2024) 评论(0) 推荐(0) 编辑

禁用spring boot 暴露的几个产品可用的endppint 服务
摘要：核心还是属于一个安全实践，禁用一些可能包含隐患点的地方，以下是一些参考资料（核心还是安全） 说明 整理的资料不只是spring boot，spring cloud 同样适用 相关参考资料 https://docs.spring.io/spring-boot/docs/1.1.4.RELEASE/re 阅读全文

posted @ 2020-12-07 18:49 荣锋亮 阅读(129) 评论(0) 推荐(0) 编辑

上一页 1 2 3 4 5 6 7 下一页

导航

< 2025年3月 >
日 一 二 三 四 五 六
23 24 25 26 27 28 1
2 3 4 5 6 7 8
9 10 11 12 13 14 15
16 17 18 19 20 21 22
23 24 25 26 27 28 29
30 31 1 2 3 4 5
点击右上角即可分享
微信分享提示